Azure DevOps Terraform流水线：联合身份与托管身份认证失败

错误原因分析 #

报错提示Please run 'az login' to setup account，本质是Terraform的azurerm provider无法通过当前流水线上下文获取有效身份认证。你的InitTerraform任务仅配置了backendServiceArm（用于访问Terraform状态后端），但未配置provider认证所需的服务连接，导致provider尝试通过Azure CLI获取订阅信息，而流水线环境中无已登录的CLI上下文。

解决方案 #

1. 修正Terraform Init任务配置 #

在InitTerraform阶段的TerraformCLI@0任务中添加environmentServiceNameAzureRM参数，确保provider和后端存储都能通过服务连接的托管身份认证：

- task: TerraformCLI@0
  displayName: 'Terraform Init'
  inputs:
    command: 'init'
    workingDirectory: '$(Build.SourcesDirectory)/terraform/${{ parameters.resource_group }}'
    backendServiceArm: '$(azure_service_connection_name)'
    environmentServiceNameAzureRM: '$(azure_service_connection_name)' # 新增该行

2. 验证权限配置 #

• 确认用户分配托管身份拥有**Terraform状态存储账户（terrastatepocst01）**的Storage Blob Data Contributor权限（用于读写tfstate文件），仅订阅Contributor权限不足以访问存储账户内的Blob资源。
• 确认Azure DevOps服务连接类型为联合身份验证 - 用户分配托管身份，且已正确关联目标托管身份。

3. 可选：显式配置Provider使用托管身份 #

若上述修改后仍存在问题，可在azurerm provider块中显式指定使用托管身份认证：

provider "azurerm" {
  features {
    key_vault {
      purge_soft_delete_on_destroy = false
    }
  }
  skip_provider_registration = true
  use_msi = true # 显式启用托管身份认证
}

内容的提问来源于stack exchange，提问作者Przemysław Doczkal